【发布时间】：2012-10-15 02:32:48
【问题描述】：
在 Java 中使用 JSSE 和 TLS。我在服务器和客户端之间创建了一个安全套接字。在最终让套接字安全连接之后，我仍然对现有代码的安全性有一个基本问题。我按照教程中的说明进行操作，有时 JavaDoc 中的文档非常精确但有点模糊，除非您会说斯瓦赫里语的行话……
我用 C++ 进行网络编程已经有一段时间了。向 Java 的过渡很容易。然而，最近，我发现确保流量安全是谨慎的做法。话虽这么说：
我想以与 Web 浏览器创建安全套接字相同的方式创建安全套接字，因此双向流量均已加密。客户端可以看到从服务器发送的他们的个人帐户信息（如果被拦截则非常糟糕），并且客户端可以安全地将他们的用户名和密码发送到服务器（如果被拦截也非常糟糕）。
我完全了解公钥加密的工作原理，但仅靠公钥加密就有副作用。您将公钥发送给客户端，客户端使用公钥加密，然后将数据发送到服务器，只有服务器可以解密。现在据我了解，服务器使用私钥加密发往客户端的消息，需要添加另一层安全性以防止任何拥有公钥的人能够解密它。
- 我有一个公钥/私钥对存储在文件 public.key 和 private.key 中（我使用 JSSE 的 keytool 实用程序制作了这些文件
- 我在客户端中包含了 public.key
- 我在服务器中包含了 private.key
客户端类：
KeyStore keyStore;
TrustManagerFactory tmf;
KeyManagerFactory kmf;
SSLContext sslContext;
SecureRandom secureRandom = new SecureRandom();
secureRandom.nextInt();
keyStore = KeyStore.getInstance("JKS");
keyStore.load(this.getClass().getClassLoader().getResourceAsStream("server.public"),"public".toCharArray());
tmf = TrustManagerFactory.getInstance("SunX509");
tmf.init(keyStore);
kmf = KeyManagerFactory.getInstance("SunX509");
kmf.init(keyStore, "public".toCharArray());
sslContext = SSLContext.getInstance("TLS");
sslContext.init(kmf.getKeyManagers(), tmf.getTrustManagers(), secureRandom);
SSLSocketFactory sslsocketfactory = sslContext.getSocketFactory();
SSLSocket sslsocket = (SSLSocket)sslsocketfactory.createSocket("localhost", 9999);
服务器类：
String passphrase = "secret"
KeyStore keyStore;
TrustManagerFactory tmf;
KeyManagerFactory kmf;
SSLContext sslContext;
SecureRandom secureRandom = new SecureRandom();
secureRandom.nextInt();
keyStore = KeyStore.getInstance("JKS");
keyStore.load(this.getClass().getClassLoader().getResourceAsStream("server.private"),passphrase.toCharArray());
tmf = TrustManagerFactory.getInstance("SunX509");
tmf.init(keyStore);
kmf = KeyManagerFactory.getInstance("SunX509");
kmf.init(keyStore, passphrase.toCharArray());
sslContext = SSLContext.getInstance("TLS");
sslContext.init(kmf.getKeyManagers(), tmf.getTrustManagers(), secureRandom);
SSLServerSocketFactory sslserversocketfactory = sslContext.getServerSocketFactory();
SSLServerSocket sslserversocket =
(SSLServerSocket)sslserversocketfactory.createServerSocket(9999);
/ ******* 问题* em>*******/
一切正常！我将套接字连接到 BufferedReader 和 BufferedWriter 并在 accept(); 之后开始来回漂亮地交谈；从客户端连接并启动我的客户端和服务器发送/接收循环。
现在我知道此时客户端到服务器的通信是安全的。只有服务器密钥可以解密来自客户端的流量。但是服务器到客户端的通信呢？客户端的密钥可以解密来自服务器的消息，但在公钥加密 101 中，您了解到客户端现在应该向服务器发送公钥。这是在这段代码的幕后发生的吗？ SSLContext 是否解决了这个问题？或者现在我有一个从客户端到服务器的加密连接，我现在是否应该为客户端生成一个私钥/公钥对？
让我知道上述代码中发送和接收的流量在两个方向上是否实际上都是安全的。
【问题讨论】：
-
您是如何在客户端“包含”public.key 并在服务器上“包含”private.key 的？？
标签： java network-programming ssl jsse